关键信息 漏洞描述 漏洞类型: 任意文件读取漏洞 受影响系统: 开源OA办公自动化系统 漏洞路由: 影响: 攻击者可以读取服务器上任意路径的文件，导致敏感信息泄露。 漏洞发现者 披露者: Honor Cyber Security Lab 漏洞分析 代码入口点: 关键代码: 问题: 接口使用了完全可控的URI值作为服务器文件路径的一部分，且未进行安全验证，攻击者可通过构造恶意文件路径（如 ）跨目录读取敏感文件。 漏洞验证 测试环境: 部署项目代码并按照README.md中的说明设置本地测试环境。 登录页面: POC示例: 安全建议 检查前端传递的URI合法性，并限制非法字符如 。